Base legal na LGPD: como identificar a hipótese adequada para cada tratamento de dados

Escolher uma base legal LGPD não é marcar uma opção em uma lista pronta. É justificar por que determinada organização pode coletar, acessar, armazenar, compartilhar ou eliminar dados pessoais em uma situação concreta. A mesma informação pode aparecer em processos diferentes e, por isso, exigir fundamentos distintos. O e-mail de um cliente pode ser necessário para executar uma compra, mas depender de outra análise quando usado para uma campanha de prospecção. O documento de um empregado pode ser tratado para cumprir uma obrigação trabalhista, mas não automaticamente para qualquer finalidade de análise interna.

Esse é o ponto central deste artigo: a hipótese legal deve acompanhar a operação de tratamento, e não apenas o sistema, o departamento ou o banco de dados onde o registro está armazenado. A análise precisa começar pela finalidade e pelo contexto, considerar quais dados são realmente necessários, verificar a natureza da relação com o titular e registrar as salvaguardas adotadas. Quando essa decisão fica associada ao RoPA e, quando necessário, a uma LIA, o time consegue revisar a justificativa à medida que o processo muda, sem depender de arquivos isolados ou da memória de quem participou do projeto.

Base legal é a hipótese prevista na LGPD que autoriza determinada atividade de tratamento de dados pessoais. Para dados pessoais não sensíveis, as hipóteses estão principalmente no artigo 7º. Para dados pessoais sensíveis, a referência central é o artigo 11, que estabelece requisitos próprios e não inclui o legítimo interesse como hipótese geral. A existência de uma base legal, porém, não encerra a análise. O tratamento ainda precisa respeitar finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização, entre os demais princípios do artigo 6º.

Também é importante separar três perguntas que muitas vezes são misturadas. A primeira é se a operação está sujeita à LGPD. A segunda é qual base legal pode autorizar aquele tratamento. A terceira é se o modo como a atividade foi desenhada respeita os princípios e os direitos dos titulares. Uma empresa pode ter uma hipótese legal em tese aplicável e, ainda assim, coletar dados em excesso, informar pouco, conservar por tempo indefinido ou compartilhar com destinatários que não fazem parte da finalidade original.

Uma prática comum é abrir um modelo de aviso de privacidade, localizar a palavra consentimento e utilizá-la como resposta para quase tudo. Outra é classificar todos os tratamentos de um CRM como legítimo interesse ou todos os dados de funcionários como obrigação legal. Esses atalhos parecem eficientes, mas escondem decisões diferentes dentro de uma mesma etiqueta. O caminho mais seguro é decompor o fluxo em operações menores: captar um lead, validar um cadastro, emitir uma nota fiscal, prestar suporte, enviar uma comunicação, prevenir fraude, cumprir uma retenção e responder a uma solicitação do titular são atividades distintas.

Para cada operação, o responsável deve registrar pelo menos: quem é o titular, quais dados entram no fluxo, de onde vêm, qual é a finalidade, quais sistemas participam, quem acessa, com quem há compartilhamento, por quanto tempo os dados permanecem, qual base legal foi considerada e quais evidências sustentam a decisão. Esse conjunto transforma a escolha em uma análise verificável. Também permite identificar quando uma mesma base contém tratamentos que deveriam ser separados por finalidade, prazo, destinatário ou nível de risco.

O artigo 7º da LGPD apresenta dez hipóteses para o tratamento de dados pessoais não sensíveis. A lista abaixo não funciona como uma tabela de escolha automática. Ela serve como mapa inicial para a conversa entre área de negócio, jurídico, DPO, segurança e tecnologia. Em cada caso, a pergunta é se os requisitos da hipótese estão presentes na operação concreta.

Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos e dados biométricos vinculados a uma pessoa natural são classificados como sensíveis. A escolha da base legal para esse grupo não pode ser feita simplesmente repetindo a justificativa usada para dados cadastrais. O artigo 11 prevê consentimento específico e destacado para finalidades específicas ou hipóteses sem consentimento, desde que o tratamento seja indispensável nas situações descritas pela lei.

Entre as hipóteses estão obrigação legal ou regulatória, execução de políticas públicas pela administração pública, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude e segurança do titular nos processos de identificação e autenticação em sistemas eletrônicos. Em todos os casos, a organização deve explicar por que o uso do dado sensível é indispensável, quais controles reduzem o risco e por que uma alternativa menos intrusiva não atende à finalidade.

Um exemplo frequente é a biometria usada para autenticação. O fato de a tecnologia ser útil ou tornar o acesso mais conveniente não é suficiente. É preciso avaliar se existe prevenção à fraude ou segurança do titular, se o processo é realmente de identificação ou autenticação, quais alternativas existem, se a retenção é limitada, como o template é protegido e quem terá acesso. A decisão deve ficar registrada, porque biometria não deve aparecer no inventário apenas como um campo de cadastro sem contexto.

Uma análise consistente pode ser organizada em cinco etapas. O objetivo não é criar uma burocracia adicional para cada formulário, mas garantir que a decisão seja proporcional ao risco e reproduzível por outra pessoa. Em operações simples e de baixo risco, o registro pode ser direto. Em operações com perfilamento, dados sensíveis, grande escala, compartilhamento relevante ou impacto significativo sobre titulares, a justificativa deve ser mais detalhada e pode exigir uma LIA, um RIPD ou outras avaliações.

Comece com um verbo e um resultado observável: processar o pedido, emitir a nota fiscal, responder ao suporte, autenticar o usuário, selecionar candidatos para uma vaga, enviar uma comunicação solicitada ou investigar uma suspeita de fraude. Evite juntar finalidades heterogêneas em uma frase como gerir o relacionamento. Essa expressão pode esconder atendimento, publicidade, análise de comportamento, prevenção a fraude, cobrança e compartilhamento com parceiros, cada qual com uma lógica própria.

Depois de definir o resultado, liste os dados usados e questione cada campo. O telefone é indispensável para enviar um código de autenticação, ou foi coletado apenas porque o formulário sempre teve essa coluna? A data de nascimento é necessária para cumprir uma regra do produto, ou a empresa quer apenas completar o perfil? O cargo do contato é necessário para responder ao pedido, ou está sendo usado para criar uma segmentação futura? A minimização fortalece a escolha da base legal porque torna mais fácil demonstrar a relação entre o dado e a finalidade.

O mesmo envio pode ser previsível em um contexto e inesperado em outro. Um cliente que acabou de comprar um produto espera receber informações sobre a entrega. Isso não significa que espere ser incluído em uma campanha de uma empresa parceira. Um candidato que envia currículo para uma vaga espera ser avaliado naquele processo. Isso não significa que autorizou a inclusão automática em um banco de talentos por prazo indefinido. A relação, a origem do dado, a informação fornecida no momento da coleta e a facilidade de oposição influenciam a análise.

Em vez de selecionar a primeira base que parece caber, registre as alternativas e o motivo para aceitar ou rejeitar cada uma. Em um pedido de compra, por exemplo, a execução de contrato pode sustentar o processamento da entrega, enquanto a obrigação legal pode sustentar a emissão e guarda de documentos fiscais. Consentimento não é necessário apenas porque existe um formulário. Legítimo interesse pode ser cogitado para uma finalidade adicional, mas depende de uma análise própria e não deve ser usado para ampliar silenciosamente o escopo do contrato.

A conclusão deve responder de forma clara: qual é a base legal, por que ela se aplica, quais dados estão cobertos, qual é o prazo de retenção, quem acessa, quais informações serão entregues ao titular, como a oposição ou revogação será tratada e quando a análise será revisada. Se a escolha depender de legítimo interesse, a LIA deve guardar a fundamentação do interesse, da necessidade, do balanceamento e das salvaguardas. Se a operação envolver alto risco, o resultado pode alimentar uma avaliação de impacto e o plano de mitigação.

Os exemplos a seguir são modelos de raciocínio, não respostas universais. Pequenas mudanças na finalidade, na origem do dado, na forma de comunicação ou no papel dos envolvidos podem mudar a conclusão. O valor de um exemplo está em mostrar quais perguntas precisam ser feitas antes de registrar a hipótese legal.

Durante uma compra, nome, endereço e contato podem ser necessários para separar, entregar e acompanhar o pedido. Essa operação tende a ser analisada sob a execução do contrato ou de procedimentos preliminares solicitados pelo titular. A emissão e conservação de documentos fiscais podem envolver cumprimento de obrigação legal. Já o envio de ofertas personalizadas depois da compra exige uma análise separada. Dependendo do público, da comunicação, da relação prévia e das expectativas, pode haver consentimento ou legítimo interesse, sempre com transparência, possibilidade de oposição e respeito às regras aplicáveis ao canal de comunicação.

Um formulário de material educativo pode coletar o e-mail para entregar o conteúdo solicitado. Isso não autoriza necessariamente o envio de toda comunicação comercial, muito menos o compartilhamento com patrocinadores. A organização deve separar a finalidade de entregar o material, a finalidade de enviar novidades e a finalidade de compartilhar o lead. Para cada uma, deve explicar o que acontece, limitar o uso e escolher a base legal que melhor corresponde ao contexto. Se a equipe pretende usar legítimo interesse, precisa demonstrar por que a comunicação é esperada, necessária e equilibrada, além de oferecer mecanismos claros de oposição.

No processo seletivo, alguns dados podem ser tratados para realizar procedimentos preliminares relacionados à contratação, quando a iniciativa parte do candidato. Durante a relação de emprego, outros tratamentos podem estar apoiados em obrigações legais ou regulatórias, contrato, exercício regular de direitos ou, conforme o caso, outra hipótese adequada. O banco de talentos merece atenção própria: guardar o currículo para uma vaga futura amplia a finalidade original e exige informação, prazo, critérios de revisão e uma base legal compatível com a situação. Dados de saúde, deficiência e outros dados sensíveis também demandam a análise específica do artigo 11.

Responder a uma solicitação de suporte pode ser necessário para executar um contrato ou para atender ao pedido do titular em uma relação já existente. A gravação da chamada, entretanto, deve ser analisada como uma atividade adicional: qual é a finalidade, quem acessa, quanto tempo a gravação fica disponível, se há informação clara e se existe alternativa menos intrusiva? Usar todas as gravações para treinar modelos, avaliar produtividade ou criar perfis de comportamento pode exigir novas finalidades e novas decisões de governança.

Verificar um dispositivo, analisar sinais de comportamento ou bloquear uma transação suspeita pode envolver prevenção à fraude e proteção do crédito, dependendo da finalidade e da atividade. Se o processo utilizar biometria, a análise muda porque o dado é sensível quando vinculado a uma pessoa natural. A equipe deve registrar se a identificação ou autenticação é indispensável, quais dados são usados, quais falsos positivos são possíveis, como o titular pode contestar e quais medidas impedem discriminação ou decisões automatizadas sem revisão adequada.

Monitorar a entrada de um escritório, registrar visitantes e proteger pessoas e patrimônio são finalidades diferentes, embora possam usar a mesma câmera ou recepção. O registro de nome e documento para liberar uma visita não deve ser automaticamente retido pelo mesmo prazo das imagens. Se houver reconhecimento facial, o tratamento passa a envolver biometria e exige análise específica. O contexto do local, a sinalização, o campo de captura, o acesso às imagens e a existência de alternativas menos invasivas devem ser documentados no RoPA.

O legítimo interesse costuma gerar insegurança porque não depende de um formulário de aceite nem de uma obrigação detalhada em uma norma específica. Isso não significa que seja uma base flexível para qualquer projeto. A LGPD exige finalidade legítima considerada a partir de situação concreta, tratamento dos dados estritamente necessários e medidas de transparência. A orientação da ANPD organiza a análise em três etapas: finalidade, necessidade e balanceamento, acompanhadas das salvaguardas adequadas.

O resultado da LIA não precisa ser uma frase dizendo que o tratamento é permitido. Ele deve mostrar o caminho da decisão. Se a organização rejeitar o legítimo interesse, registre o motivo: expectativa incompatível, dados excessivos, impacto elevado, ausência de necessidade ou dificuldade de oferecer oposição efetiva. Se aprovar, registre as condições que tornam a operação aceitável e os gatilhos que exigirão revisão. Essa memória decisória é importante quando o produto muda, quando a base de dados é compartilhada com novo fornecedor ou quando chega uma reclamação de titular.

O Registro das Operações de Tratamento não é apenas uma lista de sistemas. Ele deve ajudar a organização a explicar como os dados circulam e por que cada etapa existe. Quando a base legal fica registrada na operação, a equipe consegue visualizar sua relação com a finalidade, os dados, os titulares, os destinatários, o prazo, os riscos e as medidas de segurança. Se a justificativa estiver apenas em uma política geral, um parecer antigo ou uma troca de e-mails, fica difícil saber qual decisão corresponde a qual fluxo.

Esse vínculo também reduz contradições. Se uma política afirma que o marketing usa consentimento, mas o formulário não registra aceite, a inconsistência aparece. Se a área comercial trata a prospecção como legítimo interesse, mas a LIA não foi concluída, existe uma pendência visível. Se o contrato terminou, mas o RoPA mostra que o tratamento continua sem nova finalidade, a equipe consegue iniciar a revisão antes que o dado permaneça indefinidamente.

A dificuldade não está apenas em conhecer os artigos 7º e 11. Ela está em manter a decisão coerente quando dezenas de áreas criam formulários, contratam fornecedores, alteram sistemas e lançam novos produtos. É nesse ponto que o Mapeamento de Dados da LGPD Cloud pode funcionar como o ponto de referência operacional: cada atividade é registrada com finalidade, dados, envolvidos, sistemas, base legal, retenção, compartilhamentos e responsáveis, formando uma visão que pode ser revisada por DPO, jurídico, compliance e área de negócio.

Quando a operação envolve legítimo interesse, a LIA fica relacionada ao registro correspondente. Isso evita que a análise desapareça em um documento separado do inventário. O responsável pode consultar qual tratamento motivou a avaliação, qual finalidade foi considerada, quais dados entraram no teste, quais expectativas foram analisadas e quais salvaguardas condicionaram a aprovação. Se o fluxo mudar, a revisão parte da decisão original, em vez de recomeçar sem contexto.

Na prática, essa conexão ajuda a transformar a base legal em um elemento vivo da governança. A entrada de um novo fornecedor pode exigir revisar o compartilhamento. A adoção de biometria pode alterar a classificação do dado e a hipótese aplicável. Uma campanha que antes se destinava a clientes ativos pode passar a alcançar contatos obtidos de terceiros. Um produto com inteligência analítica pode criar perfilamento que não existia na operação original. Com os registros relacionados, os gatilhos ficam mais fáceis de identificar e as decisões deixam de depender de planilhas, pastas e conversas dispersas.

Antes de aprovar ou renovar um tratamento, use as perguntas abaixo como uma revisão rápida. O checklist não substitui a avaliação jurídica do caso, mas ajuda a revelar lacunas e a criar um padrão mínimo de documentação.

Não existe uma base legal LGPD universal para todos os dados de uma empresa, de um sistema ou de um departamento. A hipótese adequada depende da finalidade, do contexto, da relação com o titular, da necessidade, da natureza dos dados, dos destinatários e dos riscos. Por isso, decisões automáticas como colocar consentimento em todo formulário ou legítimo interesse em toda ação comercial tendem a produzir inconsistências.

O caminho mais sólido é construir uma justificativa proporcional e registrá-la onde a operação é acompanhada. O RoPA mostra o que acontece com os dados. A LIA aprofunda o raciocínio quando o tratamento depende de legítimo interesse. Os avisos, contratos, controles de acesso, prazos e evidências completam o conjunto. Com essa visão conectada, DPOs, jurídico, compliance e gestores conseguem revisar a decisão quando o tratamento muda e explicar não apenas qual base foi escolhida, mas por que ela continua adequada.

A LGPD Cloud ajuda a centralizar essa governança em torno das operações reais. Ao relacionar Mapeamento de Dados, base legal e LIA, a plataforma reduz a dispersão de decisões entre planilhas, pareceres e documentos que não conversam entre si. O resultado é uma rotina mais clara para aprovar novos tratamentos, revisar processos existentes e demonstrar responsabilidade com evidências organizadas. Fale com a LGPD Cloud para entender como estruturar essa jornada na sua organização.

Para consultar o texto legal e orientações oficiais, acesse o texto compilado da LGPD, as perguntas frequentes da ANPD e o Guia Orientativo da ANPD sobre legítimo interesse. A análise do caso concreto deve considerar a legislação aplicável ao setor, regulamentações específicas e orientação profissional.